Das Verhältnis zwischen Staat und Unternehmen wird neu geordnet. Der Anspruch, dass der Staat sich schon um alles kümmern wird, ist passé. Unternehmen müssen in Sachen Schutz selbst aktiv werden. Die Rahmen sind gesetzt.
Bei den Themen Resilienz und Abwehrbereitschaft sind sich alle einig, dass es eine gesamtgesellschaftliche Aufgabe ist. Das lässt sich in jedem zweiten Statement nachlesen. Nichtsdestotrotz schauen nichtstaatliche Akteure immer noch auf den Staat und finden ihre Rolle noch nicht. Nachdem in den vergangenen Monaten die Bevölkerung in den Fokus rücken, rückt jetzt durch zwei Gesetze die Unternehmenswelt in den Mittelpunkt. Die Gewissheit, selbst tätig werden zu müssen, kristallisiert sich bei allen Unklarheiten der Regelungen immer mehr heraus.
„Für die Sicherheit der Kritischen Infrastrukturen sind die Betreiber zuständig. Der Staat gibt nur den Rahmen“, appelliert Holger Berens, Vorstandsvorsitzender des Bundesverbands für den Schutz Kritischer Infrastrukturen (BSKI), eindringlich. Jeder trage Verantwortung. Das heißt eben auch die KRITIS-Betreiber.
In die gleiche Kerbe schlägt auch Dr. Gunther Quidde, Hauptgeschäftsführer der Industrie- und Handelskammer (IHK) Hanau-Gelnhausen-Schlüchtern: „Unternehmen werden nicht daran vorbeikommen, den Schutz selbst zu gewährleisten.“ Schließlich könne der Staat in den Markt eingreifen, wenn die Kräfte des Marktes tatsächlich versagten. Die Hürden dafür seien aber relativ hoch.
Den Rahmen bilden die viel diskutierten sowie erst kürzlich verabschiedeten Gesetze – das KRITIS-Dachgesetz und das Gesetz zur Umsetzung der NIS-2-Richtlinie. Während die NIS-2 konkreter in ihren Vorgaben ist, ist das KRITIS-Dachgesetz wesentlich unspezifischer. Zudem verweist Berens darauf, dass das KRITIS-Dachgesetz weniger präventiv aufgestellt sei und mehr Wert auf das Business-Continuity-Management (BCM) lege. Unternehmen sollen also wieder schnell in die Versorgung nach einem Ausfall zurückkehren.
Fehlende Verknüpfung
Berens kritisiert die fehlende Verknüpfung der beiden Gesetze miteinander. Zudem sieht er es kritisch, dass als Aufsichtsbehörde für die KRITIS-Betreiber nach dem KRITIS-Dachgesetz das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) zuständig ist. Dieses Amt habe im Gegensatz zum Bundesamt für Sicherheit in der Informationstechnik (BSI) kaum praktische Erfahrung. Andreas Burmeister, Geschäftsführer von WISAG, unterstreicht die Notwendigkeit von BCM. Nach seiner Einschätzung sind viele KRITIS-Unternehmen sehr unterschiedlich auf Krisen vorbereitet. Es fehle besonders an BCM-Plänen. Teilweise gebe es überhaupt kein etabliertes Krisenmanagement. Ähnlich wie Berens sieht er den fehlenden Dialog zwischen Wirtschaft, Verwaltung und Sicherheitsakteuren als große Schwachstelle. Zwar sei der Informationsaustausch in den Krisenlagen immer gut, aber im Normalbetrieb sehr schwierig. Dies führe dazu, dass in der Lage dennoch wertvolle Zeit verloren gehe. Deshalb wirbt Burmeister für den Austausch von Informationen vor der Krise. Unternehmen müssten dabei auch selbst aktiv werden. Gerade im Hinblick auf kommunale Vertreter.
Schwellenwert-Diskussion endet nicht
Risiken in den Regelungen des KRITIS-Dachgesetzes sieht Berens bei den Schwellenwerten: Während dort als Kompromiss ein Wert von 500.000 Einwohnern gelte, die versorgt werden müssten, könnten die Bundesländer eigene Schwellenwerte festlegen. Es drohe ein föderaler Flickenteppich. Dies könne vor allem für KRITIS-Betreiber problematisch werden, die Anlagen in unterschiedlichen Bundesländern betrieben und unterschiedliche Schwellenwerte beachten müssten.
